Venda de dados pela Serasa Experian é suspensa por violação à LGPD

Em decisão monocrática do desembargador César Loyola, do Tribunal de Justiça do Distrito Federal, concedeu tutela de urgência em ação civil pública proposta pelo Ministério Público do Distrito Federal e dos Territórios (MPDFT) para determinar a suspensão da venda de dados pessoais de consumidores pelo Serasa Experian. Em caso de descumprimento da decisão, a empresa ficará sujeita ao pagamento de multa diária no valor de R$ 5 mil por operação. A decisão foi proferida na última sexta-feira (20/11).

De acordo com as investigações, o Serasa Experian realiza a venda de dados pessoais como nome, endereço, CPF, número de telefone, localização, perfil financeiro, poder aquisitivo e classe social de mais de 150 milhões de brasileiros para empresas interessadas na captação de novos clientes e para fins de publicidade. De acordo com o MPDFT, esta prática estaria em desconformidade com as regras da Lei Geral de Proteção de Dados Pessoais (Lei n. 13.709/2018 – LGPD).

De início, cabe destacar que a LGPD não proíbe a venda de dados pessoais. Não obstante, tal atividade deveria observar certos parâmetros, em especial a garantia ao titular dos dados pessoais dos direitos à informação e à transparência, devendo ser informado, previamente à coleta de seus dados, que estes serão comercializados com terceiros.

No caso do Serasa Experian, por exemplo, a coleta e tratamento de dados pessoais de consumidores pela empresa tem como base legal, em regra, a proteção do crédito, prevista pelo art. 7º, inciso X, da LGPD. Por este motivo, o MPDFT pontuou na ação civil que a posterior comercialização de tais dados foge do escopo desta base legal e, portanto, fere os direitos dos titulares dos dados.

Nesse contexto, há divergências acerca da necessidade, ou não, da obtenção do consentimento do titular para que seus dados sejam compartilhados ou comercializados com outros agentes de tratamento. Há aqueles que entendem que o compartilhamento de dados pessoais só pode ocorrer quando houver o consentimento expresso e específico do titular dos dados para tanto. Por outro lado, há também quem defenda que o consentimento é apenas uma das bases para o tratamento de dados pessoais previstas pela LGPD, de modo que, quando o compartilhamento de dados estiver fundado em uma das outras bases legais do art. 7º da LGPD – como, por exemplo, se tal tratamento for necessário para a execução de contrato do qual o titular dos dados seja parte – o consentimento é dispensado.

Segundo o advogado da Brasil Salomão e Matthes Advocacia, Leandro Casadio, o compartilhamento de dados, portanto, é um dos pontos da LGPD que necessitará de melhor regulamentação por parte da Autoridade Nacional de Proteção de Dados (ANPD). “De todo modo, as empresas deverão se atentar tanto à forma como realizam o compartilhamento de dados quanto à origem dos dados pessoais que recebem de terceiros, com vistas a evitar futura responsabilização com base na LGPD”, ressaltou o advogado.

Esclarece-se que a decisão não é definitiva, sendo que o Serasa Experian poderá apresentar resposta ao recurso, cabendo ao órgão colegiado definir se a decisão monocrática deve prevalecer ou ser reformada.